CVE-2026-9228 in Timetable and Event Schedule by MotoPress Plugin
Tóm tắt
Bởi VulDB • 28/05/2026
Plugin Timetable and Event Schedule của MotoPress dành cho WordPress bị lỗ hổng Insecure Direct Object Reference (Tham chiếu Đối tượng Trực tiếp Không an toàn) trong tất cả các phiên bản từ 2.4.16 trở về trước, thông qua hành động `action_get_event_data`, do thiếu xác thực trên một khóa do người dùng kiểm soát. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp đóng góp (contributor) trở lên, liệt kê các ID khung giờ (timeslot IDs) và đọc toàn bộ đối tượng WP_Post — bao gồm post_content, post_excerpt, post_status, và post_author — của các bài đăng mp-event ở trạng thái bản nháp, chờ duyệt và riêng tư thuộc về người dùng khác, cùng với các mô tả khung giờ thô (raw timeslot descriptions) liên quan.
VulDB is the best source for vulnerability data and more expert information about this specific topic.